Notas técnicas de quienes ejecutan pentest y operan riesgo digital todos los días — sin relleno, sin contenido disfrazado de venta.
Una credencial de hosting con permiso para agregar dominios puede cruzar el aislamiento entre tenants y tomar el servidor. El alcance incluye todas las cuentas, sitios y bases alojadas.
Leer artículo →Un permiso común de lectura en CephX bastaba para extraer el repositorio de secretos del Monitor, incluidas claves capaces de ampliar el acceso a todos los hosts del clúster.
Leer artículo →Una credencial obtenida en 2012 seguía siendo relevante en 2016. El caso Dropbox muestra por qué el tiempo de detección, la reutilización de contraseñas y la respuesta coordinada deben tratarse juntos.
Leer artículo →La víctima abre un enlace, la sesión de VS Code recibe una variable de entorno controlada y el siguiente comando Node.js ejecuta código. El clic no dispara la carga de inmediato, prepara la terminal.
Leer artículo →El hook de autorización negaba el acceso, pero el resolver aún podía ejecutarse, devolver datos y causar efectos secundarios. Entienda el bypass corregido en graphql-ruby 2.6.6.
Leer artículo →La firma y la expiración eran correctas. Aun así, un token emitido para otro servicio podía superar la autenticación de Camel porque issuer y audience no se validaban.
Leer artículo →NVTabular cargaba workflows con cloudpickle sin restringir las clases reconstruidas. Si un artefacto no confiable llega al pipeline, el archivo se ejecuta con la identidad del proceso de ML.
Leer artículo →CVE-2026-18577 permitió acceso administrativo remoto sin autenticación a N-central. El riesgo no termina en la consola: el RMM ya tiene una ruta confiable a los endpoints.
Leer artículo →El permiso para construir un workflow parecía limitado al editor. Una referencia viva a un prototipo del host atravesaba el sandbox y llegaba al proceso principal de n8n.
Leer artículo →Cuando un agente obtiene herramientas y credenciales, la conversación se convierte en un plano de control. Aprende a limitar permisos, validar entradas y salidas y probar una POC antes de producción.
Leer artículo →Una lista de CVE con puntajes CVSS pegados del escáner no es un informe de pentest, es un PDF bonito. Tres cosas separan uno del otro: evidencia reproducible, severidad ajustada a tu entorno y remediación que un desarrollador pueda aplicar de verdad. Cómo reconocer cada una antes de firmar.
Leer artículo →Una sola petición HTTP sin ninguna credencial se convierte en acceso de administrador. Y un administrador de Metabase no ve solo reportes: ve la credencial de conexión de todas las bases conectadas a la herramienta.
Leer artículo →La filtración es discutible. La fecha en que te enteraste y la fecha en que avisaste no lo son. Por eso la falta de notificación es la infracción más barata de probar.
Leer artículo →El servicio estaba en 127.0.0.1, sin ningún puerto abierto a internet, y aun así un sitio cualquiera logró enviarle un comando. La verificación de seguridad que falló cabía en una sola línea de código.
Leer artículo →Lo que más creció no fue el ataque, fue la fase que viene antes. Cómo un atacante arma su lista de objetivos sin enviar un solo paquete a tu servidor.
Leer artículo →Un path traversal en el servidor de syslog de vCenter se convierte en ejecución de código sin autenticación, y desde ahí el atacante alcanza toda la flota de ESXi. Cinco días fue el intervalo entre el parche y la explotación masiva.
Leer artículo →Lazarus usó una oferta de empleo falsa en LinkedIn para entrar, y un zero-day de kernel en Windows para borrar su propio rastro antes de que cualquier EDR lo notara. Un caso real de por qué la escalación de privilegios local importa tanto como el RCE remoto.
Leer artículo →Con fines de estudio: cómo funcionaban por dentro CIH, WinNuke, Ping of Death y otras fallas históricas de Windows 95, y por qué el mismo patrón de falla sigue apareciendo en sistemas modernos.
Leer artículo →Un RCE no autenticado en TeamCity On-Premises, CVSS 9.8 y ya con explotación activa confirmada por CISA, muestra por qué un servidor de CI/CD merece el mismo alcance de pentest que un sistema de producción.
Leer artículo →Los mismos cinco patrones de falla siguen apareciendo API tras API. Un panorama práctico de qué probar antes de que alguien externo lo encuentre primero.
Leer artículo →Apenas un agente de IA obtiene acceso a una herramienta, un archivo o una shell, prompt injection deja de ser un truco de chatbot y se vuelve un camino hacia la ejecución de comandos. Un panorama técnico con un caso real confirmado.
Leer artículo →Cuéntanos qué necesitas validar y el equipo arma un alcance de pentest a medida.
¿Listo para evaluar el riesgo de su empresa?